linux 6转换系统审计日志文件

最新推荐文章于 2025-04-15 15:32:46 发布

原创

最新推荐文章于 2025-04-15 15:32:46 发布 · 2.7k 阅读

2 ·

CC 4.0 BY-SA版权

本文介绍了如何将Linux审计日志文件中的时间戳转换为可读时间格式，包括使用Perl脚本和shell脚本的方法。示例展示了将审计日志（audit.log）中原始的时间格式转换为日期和时间，并将转换后的日志写入新文件（transtime.log）的过程。

在查看/var/log/audit.log日志文件的时候，没法识别时间，需要进行时间转换

1：原来的日志文件格式

type=LOGIN msg=audit(1493503801.016:68448): pid=20835 uid=0 old auid=4294967295 new auid=0 old ses=4294967295 new ses=11216
type=USER_START msg=audit(1493503801.022:68449): user pid=20835 uid=0 auid=0 ses=11216 msg='op=PAM:session_open acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'
type=CRED_DISP msg=audit(1493503801.038:68450): user pid=20835 uid=0 auid=0 ses=11216 msg='op=PAM:setcred acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'
type=USER_END msg=audit(1493503801.039:68451): user pid=20835 uid=0 auid=0 ses=11216 msg='op=PAM:session_close acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'